每周升级布告-2021-05-11

颁布功夫 2021-05-12

新增事务


事务名称：

TCP_可疑行为_tracert号令_远程号令执行

安全类型：

可疑行为

事务描述：

检测到主机在向源ip返回体中蕴含系统号令tracert的执行回显，可能是黑客攻击导致系统执行号令的返回，可能主机已经失陷

更新功夫：

20210511


事务名称：

TCP_后门_Rotajakiro.Oceanlotus(海莲花)_衔接

安全类型：

木马后门

事务描述：

检测到后门试图衔接远程服务器 。源IP地点的主机可能被植入了后门Rotajakiro 。Rotajakiro疑似是APT组织海莲花所的使用后门，职能极度壮大，运行后能够齐全节造被习染机械 。

更新功夫：

20210511


事务名称：

HTTP_安全缝隙_Opentsdb_远程代码执行缝隙[CVE-2020-35476][CNNVD-202012-1211]

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用Opentsdb远程号令执行缝隙对主张主机进行攻击的行为 。OpenTSDB(OpenTimeSeriesDataBase)是基于HBASE构建的散布式、可扩大的功夫序列数据库 。OpenTSDB能够获取电力行业、化工行业、物联网行业等各类型实时监测、查抄与分析设备所采集、产生的功夫序列数据，并提供存储、索引以及图形化服务，使其易于接见和可视化 。OpenTSDB2.4.0及之前版本中存在远程代码执行缝隙，攻击者可通过机关恶意要求实现远程代码执行 。

更新功夫：

20210511


事务名称：

HTTP_可疑行为_copy_号令执行回显

安全类型：

安全缝隙

事务描述：

当前主机在返回copy号令执行了局，copy是主机复造文件的号令，攻击者常用号令，若是返回体里面出现有关体式的内容，则可能主机已被攻下

更新功夫：

20210511


事务名称：

HTTP_天融信数据防泄漏系统_越权批改治理员缝隙

安全类型：

安全缝隙

事务描述：

检测到源ip在利用天融信数据防泄漏系统的越权缝隙进行治理员密码批改；天融信数据防泄漏系统(简称:TopDLP)是以深度内容鉴别技术为主题,在数据存储、传输和使用过程中,发现并鉴别敏感数据隐患,确保敏感数据合法使用,预防敏感数据泄漏的数据安全�；は低� 。

更新功夫：

20210511


事务名称：

HTTP_APT攻击_Bitter(蔓灵花)_Win32.Downloader_衔接C2

安全类型：

木马后门

事务描述：

蔓灵花（BITTER）是疑似拥有南亚布景的APT组织，因其早期特马通讯的数据包头部以“BITTER”作为标识而得名 。该组织重要针对周边国度地域确当局，军工业，电力，核等单元进行攻击，以窃取敏感资料为主张，拥有强烈的政治布景 。该事务是一个.NET平台的Downloader,获取当前推算机用户名、系统版本、系统位数、MAC地址等信息，将获取的信息拼接上传到C2服务器，并从C2服务器下载文件执行 。

更新功夫：

20210511


事务名称：

HTTP_可疑行为_everything搜索页面被接见

安全类型：

CGI攻击

事务描述：

Everything是Windows上一款搜索引擎，由于配置中开启了ETP/FTP和HTTP服务，并未设置账号密码，导致能够接见服务器的文件 。若是攻击ip是授权ip，则无需关注 。

更新功夫：

20210511


事务名称：

TCP_可疑行为_nslookup号令_远程号令执行

安全类型：

安全缝隙

事务描述：

检测到源IP主机在对主张IP执行nslookup号令，nslookup用于查问DNS的纪录，查问域名解析是否正常，在网络故障时用来诊断网络问题，也可被攻击者用于探测机械是否能够联通表网 。

更新功夫：

20210511


批改事务


事务名称：

DNS_木马_可疑矿池域名解析要求

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。源IP地点的主机可能被植入了挖矿木马 。挖矿木马尝试衔接矿池，受害主机变慢 。

更新功夫：

20210511


事务名称：

TCP_冰蝎_php_webshell_上传

安全类型：

安全缝隙

事务描述：

检测到源IP主机正向主张主机上传冰蝎phpwebwhell木马,攻击者可远程节造被上传webshell主机执行肆意操作 。

更新功夫：

20210511


事务名称：

HTTP_Citrix_ADC_远程代码执行缝隙[CVE-2020-8193][CNNVD-202007-367]

安全类型：

安全缝隙

事务描述：

检测到源IP在利用Citrix_ADC的权限绕过缝隙，通过创建session，进而提权进行代码执行攻击，最后导致主机失陷，被攻击者收受 。

更新功夫：

20210511


事务名称：

HTTP_安全缝隙_泛微OA8_前台SQL执行

安全类型：

注入攻击

事务描述：

泛微OA是国内公司颁布的一款移动办平正台 。检测到攻击者在利用泛微OA8前台的SQL执行缝隙，通过此缝隙可查问出后盾密码等数据库敏感数据 。

更新功夫：

20210511


事务名称：

TCP_后门_Win32.Salgorea(海莲花)_衔接

安全类型：

木马后门

事务描述：

检测到木马试图衔接远程服务器 。源IP地点的主机可能被植入了后门Salgorea 。Salgorea是海莲花所使用的壮大后门，重要通过邮件传布 。Salgorea运行后，会尝试获取敏感信息，也可执行C&C返回指令，去下载其他后门 。窃取敏感信息 。

更新功夫：

20210511


事务名称：

TCP_僵尸网络_IoT.Moobot_衔接

安全类型：

木马后门

事务描述：

检测到Moobot试图衔接C&C服务器 。源IP主机可能被植入了僵尸网络Moobot 。Moobot是一个IoT僵尸网络，重要职能是对指定指标提议DDoS攻击，通过各类缝隙传布自身 。

更新功夫：

20210511


事务名称：

HTTP_安全缝隙_亿邮电子邮件系统_远程号令执行

安全类型：

安全缝隙

事务描述：

检测到源ip主机在利用亿邮电子邮件系统使用POST步骤在主张ip主机执行远程代码执行操作，亿邮电子邮件系统是由北京亿中邮信息技术有限公司（以下简称亿邮公司）开发的一款面向中大型集团企业、当局、高校用户的国产邮件系统 。亿邮电子邮件系统选取了自主研发MTA引擎、散布式文件系统存储方式、多对列机造、ECS存储子系统、Cache系统等多项主题技术，提供了丰硕的邮件职能 。

更新功夫：

20210511